依存関係のライフサイクル
Merlon は、ツールチェーン、ベースイメージ、GitHub Actions、セキュリティ検査ツールを、レビュー済みバージョンまたは不変ダイジェストに固定する。固定は再現可能な証跡であり、更新を停止する理由ではない。本台帳の最終確認日は 2026年7月16日 である。
ランタイム台帳
| コンポーネント | リポジトリの固定値 | 上流サポート期限 | 必要な対応 |
|---|---|---|---|
| Go | 1.25.12 | 新しいメジャー版が2つ出るまでサポートされるため、1.25 は 1.27 のリリース時にサポート終了 | セキュリティ版へ直ちに更新し、1.27 のリリース前に 1.26 への移行を完了する。 |
| Node.js | 22.23.1 | Node.js 22 Maintenance LTS は2027年4月30日終了 | サポート対象の最新パッチへ速やかに更新し、EOL の90日前までに新しい LTS へ移行する。 |
| PostgreSQL | 16.14 | PostgreSQL 16 は2028年11月9日終了 | マイグレーション／復元テスト後にマイナー版を更新し、EOL の180日前までに次のメジャー版へ移行する。 |
| Alpine Linux | 3.24.1 | Alpine 3.24 は2028年6月1日終了 | セキュリティ／保守リリースで再ビルドし、EOL の90日前までに新ブランチへ移行する。 |
| nginx | 1.30.4 stable | nginx は現行 stable とセキュリティリリースを公開しており、固定 EOL 日はない | stable の最新パッチとセキュリティ情報を追跡し、stable 系列の交代を30日以内にレビューする。 |
レビュープロセス
- Dependabot は Go modules、npm、GitHub Actions、Dockerfile を毎週確認する。Action はレビュー後も完全なコミット SHA に固定する。
- セキュリティ責任者は上流のセキュリティ情報とパッチを毎月、本 EOL 台帳を四半期ごとに確認する。脆弱性の公表、上流 EOL の変更、CI runner のサポート終了時は臨時レビューを行う。
- ランタイム更新は公開 Issue と PR を使用し、上流リリースノート、イメージダイジェスト、全必須ワークフロー結果、マイグレーション／ロールバック影響を記録する。PostgreSQL のメジャー更新にはバックアップ／復元証跡も必要である。
- EOL ランタイム、未解決の Critical／High 脆弱性がある場合はリリースしない。ただし、セキュリティ方針が認める期限付き例外を独立承認し、代替統制を記録した場合を除く。
上記日付は上流予定であり変更され得る。リリースチェックリストでは、本文書だけに依存せず、公式情報を再確認した証跡を残す。